Dünya genelinde yaklaşık 17,5 milyon Instagram kullanıcısının kişisel verileri, büyük bir veri ihlali sonucunda ifşa edildi. Siber güvenlik araştırmacıları, ele geçirilen bilgilerin karanlık ağ forumlarında dolaşımda olduğunu doğruladı ve kullanıcıların ciddi risk altında olduğunu belirtti.
API SIZINTISI FORUMLARDA PAYLAŞILDI
Sızıntıyı gerçekleştiren saldırgan, “Solonik” takma adıyla bir bilgisayar korsanı forumunda veri setini paylaştı. Paylaşımda, 2024 yılı sonunda yaşanan bir API sızıntısı sonucunda elde edildiği belirtilen verilerin JSON ve TXT formatında yaklaşık 17,5 milyon kaydı içerdiği iddia ediliyor. Araştırmalara göre saldırganlar, standart güvenlik önlemlerini atlayarak dünya çapındaki kullanıcı profillerini otomatik veri kazıma yöntemiyle topladı.
SIZDIRILAN VERİLERDE NELER VAR?
Veri tabanı sadece kullanıcı adlarını değil, tam isimleri, doğrulanmış e-posta adreslerini, telefon numaralarını, kullanıcı kimlik numaralarını ve ülke ile kısmi konum bilgilerini de içeriyor. Bu bilgiler, siber suçluların kullanıcılar hakkında kapsamlı profiller oluşturmasına ve hedefli dolandırıcılık yöntemlerini uygulamasına imkân tanıyor.
RİSKLER VE KULLANICI AYARLARI
Veri sızıntısı şifreleri içermese de risk tamamen ortadan kalkmıyor. Uzmanlar, e-posta ve telefon bilgilerinin birleşiminin SIM kart değişimi saldırıları ve sosyal mühendislik dolandırıcılıkları için yeterli olduğunu belirtiyor. Dolandırıcılar, kendilerini Instagram destek ekibi gibi göstererek veya sızdırılan kişisel verileri kullanarak kullanıcıları iki faktörlü doğrulama kodlarını ya da giriş bilgilerini paylaşmaya ikna edebiliyor.
OLAYIN KAPSAMI VE META'NIN TUTUMU
Olay, Instagram sunucularına doğrudan bir sızma olarak değil, halka açık arayüzler üzerinden veri kazıma yöntemiyle gerçekleşti. Ancak API sızıntısının ölçeği, hız sınırlamaları ve gizlilik korumalarındaki eksikliklerin saldırganların milyonlarca hesabı tespit edilmeden sorgulamasına olanak sağladığını gösteriyor. 10 Ocak 2026 itibarıyla Meta, bu veri sızıntısıyla ilgili resmi bir açıklama yapmadı.
Siber güvenlik uzmanları, tüm kullanıcıların kimlik doğrulama uygulamaları aracılığıyla çok faktörlü doğrulamayı etkinleştirmesi ve talep edilmemiş şifre sıfırlama e-postalarına itibar etmemesi gerektiğini vurguluyor.
